Radius搭建
RADIUS（Remote Authentication Dial In User Service，远程用户拨号认证服务）服务器提供了三种基本的功能：认证（Authentication）、授权（Authorization）和审计（Accounting），即提供了3A功能。其中审计也称为“记账”或“计费”。 RADIUS协议采用了客户机/服务器（C/S）工作模式。网络接入服务器（Network Access Server，NAS）是RADIUS的客户端，它负责将用户的验证信息传递给指定的RADIUS服务器，然后处理返回的响应。搭建Radius服务器的方法：用户接入NAS，NAS向RADIUS服务器使用Access-Require数据包提交用户信息，包括用户名、密码等相关信息，其中用户密码是经过MD5加密的，双方使用共享密钥，这个密钥不经过网络传播；RADIUS服务器对用户名和密码的合法性进行检验，必要时可以提出一个Challenge，要求进一步对用户认证，也可以对NAS进行类似的认证；如果合法，给NAS返回Access-Accept数据包，允许用户进行下一步工作，否则返回Access-Reject数据包，拒绝用户访问；如果允许访问。
一、安装Radius
freeradius官方网站下载http://freeradius.org/download.html
注：
最好先安装好下面的东西！！！
遇到的问题：
configure: WARNING: talloc library not found. Use --with-talloc-lib-dir=<path>.
configure: error: FreeRADIUS requires libtalloc
解决：
yum install libtalloc-devel -y
Debugger not attached
Refusing to start with libssl version OpenSSL 1.0.1e-fips 11 Feb 2013 0x1000105f (1.0.1e release) (in range 1.0.1 dev - 1.0.1f release)
Security advisory CVE-2014-0160 (Heartbleed)
For more information see http://heartbleed.com
Once you have verified libssl has been correctly patched, set security.allow_vulnerable_openssl = 'CVE-2014-0160'
解决：
vim /usr/local/etc/raddb/radiusd.conf
allow_vulnerable_openssl = yes #改为yes
Could not link driver rlm_sql_mysql: /usr/local/lib/rlm_sql_mysql.so: cannot open shared object file: No such file or directory
Make sure it (and all its dependent libraries!) are in the search path of your system's ld
/usr/local/etc/raddb/mods-enabled/sql[20]: Instantiation failed for module "sql"
解决：
yum -y install mysql-devel
然后重新编译freeradius即可。
————————————————
原文链接：https://blog.csdn.net/Name_kongkong/article/details/53010377
1.解压：
tar -zxvf freeradius-server-3.0.26.tar.gz
2.编译：
cd freeradius-server-3.0.26
./configure (#./configure --with-mysql-dir=/usr/share/mysql/ --with-mysql-lib-dir=/usr/lib/mysql/)
make
make install
# 默认安装在 /usr/local/etc/raddb下
3.启动radius
# debug模式启动
radiusd -X
# 后台进程方式启动
systemctl start radiusd
systemctl enable radiusd
# 日志
/var/log/radius/radius.log
注：
端口被占用了，查看是谁占用了1812端口 输入命令：ss -ulnp
干掉：pkill radiusd 再重新启动就可以了。
5.添加用户并进行测试
按照官方文档的测试方法，在文件 /usr/local/etc/raddb/users 的末尾添加：
testing Cleartext-Password := "password123"
其中： testing 是用户名, password123 是明文格式的密码.
接下来用radtest来测试服务器:
radtest testing password123 127.0.0.1 0 testing123
正常情况下返回
收到 Access-Accept 即表示测试成功!
二、创建数据库并授权
1.安装mariadb
yum install -y mariadb-server mariadb
2.启动
systemctl start mariadb
systemctl enable mariadb
3.运行安全设置
mysql_secure_installation
4.进入数据库
[root@localhost ~]# mysql -uroot -p
Enter password:
5.创建数据库并授权
MariaDB [(none)]> create database radius；
Query OK, 1 row affected (0.00 sec)
MariaDB [(none)]> grant all on radius.* to radius@'localhost' identified by 'radius';
Query OK, 0 rows affected (0.00 sec)
MariaDB [(none)]> flush privileges;
Query OK, 0 rows affected (0.00 sec)
三、配置radius和数据库
1.导入数据库
cd /usr/local/etc/raddb/mods-config/sql/main/mysql
mysql -u radius -p radius< schema.sql
2配置radius
cd /usr/local/etc/raddb/sites-enabled
sql的配置
vim default
将authorize {}下的sql去掉注释，并且将file注释掉。
将accounting{}下的sql去掉注释，并且将file注释掉。
cd /usr/local/etc/raddb/mods-available
vim sql
修改driver=“rlm_sql_null”
设置以下项，其余项保持默认
driver = "rlm_sql_mysql"
dialect = "mysql"
server = "localhost"
port = 3306
login = "radius"
password = "radius"
radius_db = "radius"
read_clients = yes
给sql做个软连接
在目录 /usr/local/etc/raddb/mods-enabled
给 /usr/local/etc/raddb/mods-available/sql做个软连接
cd /usr/local/etc/raddb/mods-enabled
ln -s /usr/local/etc/raddb/mods-available/sql ./
3.将/etc/raddb/mods-enabled/sql所属组更改为radiusd
chgrp -h radiusd /etc/raddb/mods-enabled/sql
4.添加客户端连接设置，添加允许所有用户接入，如需特定ip访问，ip可以自由更改。
[root@localhost ~]# vim /etc/raddb/clients.conf
client all_client {
ipaddr = 0.0.0.0/0
secret = testing123
require_message_authenticator = no
}
5.建立组信息和用户
insert into radgroupreply (groupname,attribute,op,value) values ('user','Auth-Type',':=','Local');
insert into radgroupreply (groupname,attribute,op,value) values ('user','Service-Type',':=','Framed-User');
insert into radgroupreply (groupname,attribute,op,value) values ('user','Framed-IP-Address',':=','255.255.255.255');
insert into radgroupreply (groupname,attribute,op,value) values ('user','Framed-IP-Netmask',':=','255.255.255.0');
查看
6.建立用户信息：（在此新建用户名为test，密码为testpwd）
insert into radcheck (username,attribute,op,value) values ('test','Cleartext-Password',':=','testpwd');
查看
将用户加入组中
insert into radusergroup (username,groupname) values ('test','user');
7.重启radius测试
systemctl restart radiusd
测试·
radtest test testpwd localhost 1812 testing123
Centos配置ssh通过radius接入认证
1.安装依赖
sudo yum -y install make gcc pam pam-devel
2.下载pam_radius源码安装包
wget ftp://ftp.freeradius.org/pub/radius/pam_radius-1.4.0.tar.gz
tar -xzvf pam_radius-1.4.0.tar.gz
cd pam_radius-1.4.0
sudo ./configure
sudo make
3.将库复制到正确的位置
cp pam_radius_auth.so /lib/security/
#或64bit：
cp pam_radius_auth.so /lib64/security/
4.创建配置目录并复制名为’server’的配置文件：
sudo mkdir /etc/raddb
cp pam_radius_auth.conf /etc/raddb/server
5.编辑 /etc/raddb/server 并将您的 radius 服务器 IP 和共享密钥添加到此文件。
# server[:port] shared_secret timeout (s)
127.0.0.1 secret 1
radius_server_IP secret 3
#
# having localhost in your radius configuration is a Good Thing.
6.接下来，我们需要告诉 login 使用 radius。编辑文件 /etc/pam.d/login
auth required pam_radius_auth.so
7.vim /etc/pam.d/sshd 把这两行添加进去：
auth sufficient pam_radius_auth.so
auth include system-auth
8.添加用户
sudo useradd -m USERNAME
在 Ubuntu 上配置 sudo 以进行双因素身份验证
接下来是 Ubuntu 14.04 服务器。首先，安装 pam-radius：
sudo apt-get install libpam-radius-auth
通过编辑 /etc/pam_radius_auth.conf 使用 NPS 服务器配置它。所以它和上面一样：
# server[:port] shared_secret timeout (s)
127.0.0.1 secret 1
radius_server_IP secret 3
#
# having localhost in your radius configuration is a Good Thing.
编辑 /etc/pam.d/sudo 文件并在 comm-auth 行上方添加 auth sufficient pam_radius_auth.so 行：
auth required pam_env.so readenv=1 user_readenv=0
auth required pam_env.so readenv=1 envfile=/etc/default/locale user_readenv=0
auth sufficient pam_radius_auth.so
@include common-auth
@include common-account
@include common-session-noninteractive
sudo 使用 radius。
编辑文件 /etc/pam.d/sudo 并将 \auth include system-auth\ 替换为：
auth required pam_radius_auth.so